写静态反编译器的方法

最新推荐文章于 2023-12-21 11:19:14 发布

kalt01

最新推荐文章于 2023-12-21 11:19:14 发布

阅读量1k

点赞数 5

分类专栏：软件破解

本文链接：https://blog.csdn.net/kalt01/article/details/50621707

版权

软件破解专栏收录该内容

2 篇文章 0 订阅

订阅专栏

写静态反编译器的方法

用od打开一个exe程序，如下图，可以看到程序的入口点

在地址0040114C处。且第一条指令是68 AC124000 push main.004012AC 。

按几次PageUp键，到最上头，地址为00401000.

且指令为C6914873 dd MSVBM60.CIcd...

按几次PageDown键，或用鼠标移到最下头，

也就是程序最后一行，地址为00401FFF.

且指令为 00 db00

下面运行一个程序。在网上找到的PE文件格式列出程序。

#include <stdio.h>
#include <windows.h>

int main(int argc,char *argv[])
{
	FILE *fp;
	char filename[MAX_PATH];
	
	IMAGE_DOS_HEADER DOS_header;			//DOS头结构
	IMAGE_NT_HEADERS nt_header;				//PE头结构
	IMAGE_SECTION_HEADER *psection_header;	//节表结构指针
	
	printf("请输入文件名：");
	gets(filename);
	fp=fopen(filename,"rb");
	if(fp==NULL)
	{
		printf("\nError：打开文件出错，请重试!\n");
		getchar();
		exit(0);
	}
	system("cls");
	printf("\n当前文件：%s\n\n",filename);
	
	//检查前两个字节是否为MZ
	char ch; 
	ch=fgetc(fp);
	if(ch != 'M')
	{
		printf("\n-->->->该文件不是有效的PE文件!\n");
		exit(0);
	}
	else
	{
		ch=fgetc(fp);
		if(ch != 'Z')
		{
			printf("\n-->->->该文件不是有效的PE文件!\n");
			exit(0);
		}
		else
		{
			printf("\n-->->->该文件通过第一重有效性检验!\n");
		}
	}
	// 判断是否被感染，因为在一般情况下这个位置都应该不变，为0x00
	fseek(fp,0x7f,0);
	ch=fgetc(fp);
	if(ch!=0x00)
	{
		printf("\n-->->->该文件已经被感染!\n");
		fclose(fp);
		exit(0);
	}
	rewind(fp);
	printf("\n------------------文件信息-------------------------\n");
	fread(&DOS_header,sizeof(struct _IMAGE_DOS_HEADER),1,fp);
	printf("\nPE文件头偏移：%8X h\n",DOS_header.e_lfanew);
	
	fseek(fp,DOS_header.e_lfanew,0);
	fread(&nt_header,sizeof(struct _IMAGE_NT_HEADERS),1,fp);
	
	if(nt_header.Signature != 0x00004550)
	{
		printf("\n-->->->该文件没有通过第二重有效性检验!\n");
		fclose(fp);
		exit(0);
	}
	printf("\n-->->->该文件通过第二重有效性检验!\n");
	
	printf("\n包含节的个数：%8X h\n",nt_header.FileHeader.NumberOfSections);
	printf("\n程序入口地址：%8X h\n",nt_header.OptionalHeader.AddressOfEntryPoint);
	printf("\n优先虚拟地址：%8X h\n",nt_header.OptionalHeader.ImageBase);
	printf("\n内存文件映像尺寸：0x%X\n\n\n",nt_header.OptionalHeader.SizeOfImage);
	
	system("pause");
	system("cls");
	printf("\n------------------各节详尽分析-----------------------\n\n\n");
	psection_header = new IMAGE_SECTION_HEADER[nt_header.FileHeader.NumberOfSections];
	fread(psection_header,nt_header.FileHeader.NumberOfSections*sizeof(struct _IMAGE_SECTION_HEADER),1,fp);
	for(int i=0;i<nt_header.FileHeader.NumberOfSections;i++)
	{
		printf("\n第 %d 节的节表名称：%s\n",i+1,psection_header[i].Name);
		printf("\n第 %d 节的文件偏移：%Xh\n",i+1,psection_header[i].PointerToRawData);
		printf("\n第 %d 节的内存偏移：%Xh\n",i+1,psection_header[i].VirtualAddress);
		printf("\n第 %d 节的实际大小：%XH\n",i+1,psection_header[i].Misc.VirtualSize);
		printf("\n第 %d 节对齐后大小：%XH\n",i+1,psection_header[i].SizeOfRawData);
		printf("\n第 %d 节的相关属性：%XH\n\n\n",i+1,psection_header[i].Characteristics);
	}
	
	fclose(fp);
	getchar();
	
	return 0;
}

运行结果为：
当前文件：main.exe
-->->->该文件通过第一重有效性检验!
------------------文件信息-------------------------
PE文件头偏移： B8 h
-->->->该文件通过第二重有效性检验!
包含节的个数： 3 h
程序入口地址： 114C h
优先虚拟地址： 400000 h
内存文件映像尺寸：0x4000
请按任意键继续. . .

------------------各节详尽分析-----------------------
第 1 节的节表名称：.text
第 1 节的文件偏移：1000h
第 1 节的内存偏移：1000h
第 1 节的实际大小：D3CH
第 1 节对齐后大小：1000H
第 1 节的相关属性：60000020H

第 2 节的节表名称：.data
第 2 节的文件偏移：2000h
第 2 节的内存偏移：2000h
第 2 节的实际大小：9E4H
第 2 节对齐后大小：1000H
第 2 节的相关属性：C0000040H

第 3 节的节表名称：.rsrc
第 3 节的文件偏移：3000h
第 3 节的内存偏移：3000h
第 3 节的实际大小：8BCH
第 3 节对齐后大小：1000H
第 3 节的相关属性：40000040H

可以读出程序入口地址： 114C h
优先虚拟地址： 400000 h